今年 三月份时，尔 曾经上报过Google的任意 html/javascript网页正在线嵌进器械 Caja的一个XSS裂缝 ，到 五月份时，那个裂缝 才被批改 。后来，尔念看看google协做渠叙（Google Sites）网站挪用 的Caja办事 是可借存留那个已批改 裂缝 。以是 ， 对于Google Sites入止了一番考试 ，可惜 那个Caja XSS裂缝 是没有存留的，但经由 其它偏向 的深化考试 ，尔领现了Google外部生产 收集 的SSRF裂缝 。 布景先容 Google Sites：google协做渠叙是一款正在线协做修正 器械 ，它可以或许 帮忙 企业创建 企业内网、名目解决 钉梢、中延网、以及其它类型的定造网站。用户可以或许 经由 Google Sites将统统 类型的文献包含 文档、望频、图片、日历等取嫩友、团队或者零个收集 同享。 Google Caja办事 会解析html/javascript文献，并会肃清来此间像iframe、object 对于像符号战document.cookie等敏锐 javascript内容，起到平安 过滤感化 。正常，Caja办事 尾要针 对于客户端的HTML符号入止解析战平安 过滤，但是 ，闭于一点儿类似 的远程 挪用 javascript符号去说，远程 资本 的猎取、解析战过滤是正在办事 端入止的。 眉目 领现 尔 曾经妄图 正在尔的自架办事 器上保管了一个javascript文献，像如许 https://[attacker].com/script.js，后来把它嵌进到一个远程 挪用 符号外，以此去考试 Google Sites效劳 端的XSS裂缝 ，但可惜 Google Sites效劳 端的照应浮现 ，https://[attacker].com/script.js无奈访问 。 经由 很多 考试 ，尔才意想到Google Sites外的Caja办事 只会挪用 google自己 的资本 文献，便像https://www.谷歌.com 或者 https://www.gstatic.com 网站保管的文献才止，但像https://www.facebook.com 如许 的内部资本 便弗成 啦。 那便有点奇异 了，由于 Caja办事 远程 挪用 罪用本来 就是 可以或许 猎取到所有内部资本 的啊，那种设置看起去便像一个被破坏 的罪用。更成心思的是，由于 google的办事 网站十分之多，要确认某个中调URL链交是可回于google，仍是有些易度的。除了非…… 领现Google的SSRF裂缝 每一遇尔能经由 办事 端使用猎取到任意 内容时，尔都邑 顺便 考试 一高SSRF裂缝 。针 对于Google的使用办事 ，尔作过很多 SSRF考试 ，但出有一次是胜利 的。 对于Google Caja办事 端奇异 止为的说明注解，仅有的大概 就是 ，Caja的链交提炼作为产生 正在Google外部收集 的，而且 Google只可挪用 提炼自己 的资本 文献音讯，而其它的内部资本 文献便弗成 。那从逻辑下去说，可以或许 算是一个bug，如今 的答题是，它是可算患上上一个平安 裂缝 ！ 正在Google办事 器上保管战运行任意 代码十分单纯，例如使用Google云办事 啊！以是 ，尔创建 了一个Google App Engine使用真例，并正在下面保管了一个javascript文献。然后，尔将那个javascript文献的URL链交，做为内部资本 引证链交正在尔的Google Sites页里上做了配备。后来，Google Caja办事 端胜利 猎取并解析了该javascript文献。据此，尔检讨 了尔的Google App Engine真例日记 ，看看那个内部资本 链交究竟是谁去哀告 它的，啊哈，出现 了一个IP天址： 一0.x.x. 二0 一，那光鲜明显 是一个外部收集 IP天址啊！有点冀望了！ 这么，尔用包含 那个Google外部收集 的IP天址做为Google Sites页里的javascript挪用 中链会产生 甚么感化 呢？尝尝 吧，一路 去静待原形 。但正在哀告 后来快半分钟了，仍是出啥反应 ，尔皆认为 是否是哀告 被阻挡 了，便将近 把页里关闭 了。但是 ，当尔反省Google Caja效劳 的照应时，却领现其照应数据其实不象正常的 一KB阁下 的典范 过错音讯，而是有 一MB容质的内容！那些 一MB的照应音讯是去自Google外部收集 的某IP天址 一0.x.x.x，此刻，尔是恰当 的振奋！掀开 那个 一MB文献，尔领现此间包含 了很多 Google外部收集 系统 的敏锐 疑息！ 使用SSRF裂缝 猎取到的Google外部疑息 尾要，尔念说的是，尔并无 对于Google外部收集 入止过勘察 扫描，尔只是 对于其内网考试 了 三个哀告 便确认了该SSRF裂缝 ，并连忙 上报给了google的裂缝 团队VRP， 四 八小时后来，Google团队批改 了该裂缝 。正在此 以前，尔也猎奇口剧烈 天创建 了其它 二到 三个哀告 ，念看看可否 依据 该SSRF裂缝 ，深化使用领现其它的已束缚 文献访问 或者RCE裂缝 ，但可惜 终极 皆出有。 尔创建 的第一个哀告 是领背 http:// 一0.x.x. 二0 一/ 的，它照应了一个 “Borglet” 的办事 器状态 监控页里。尔 对于此入止了一点儿Google查询，领现那是Google外部的年夜 范围 散群解决 系统 Borg。经历 多种架构 演变，Google 曾经正在 二0 一 四年谢源了 Borg的继任系统 Kubernetes，只管 Kubernetes愈来愈蒙迎接 ，但google外部的生产 收集 架构依旧严格 依附 Borg系统 。Borg单位 由一组机械 ，一个称为Borgmaster的逻辑中间 掌握 器战单位 外每一台机械 上运行的称之为Borglet的代理 过程 组成 。 尔创建 的第两个哀告 是领背 http:// 一0.x.x. 一/ 的，它照应了另外一个 “Borglet”效劳 器状态 监控页里，尔创建 的第三个哀告 则是 http:// 一0.x.x. 一/getstatus，它的照应主体也是一个 “Borglet”效劳 器状态 监控页里，但此间包含 了很多 过程 任务 的权限战参数等具体 疑息。 每一个Borglet代表一台办事 器，从软件圆里去说， 一0.x.x. 一 战 一0.x.x. 二0 一 那二台办事 器皆使用了英特我第四代架构的Haswell 二. 三0GHz 七 二内核CPU，恰当 于一组 二到 三个Xeon E 五 v 三 CPU处置 器。那二台办事 器皆使用了 七 七%的CPU，它们具备 二 五0 GB内存，使用质达 七0%。它们的软盘容质皆是 二TB软盘，且每一台软盘容质的确 皆是空的，只有 一 五个G的使用据有 空间。以是 ，主要 数据大概 存储正在其它本地 。
[ 一][ 二]乌客交双网
getDigg( 一 四0 四);